Bill document — Vigie #173805

Vigie 173805

Quebec — Bills

PREMIÈRE SESSION QUA RANTE-DEUXIÈME LÉGISLATURE Projet de loi n o 95 Loi modifiant la

Loi sur la gouvernance et la gestion des ressources informationnelles des organismes publics et des entreprises du gouvernement et d’autres dispositions législatives Présentation Présenté par M. Éric Caire Ministre délégué à la Transformation numérique gouvernementale Éditeur officiel du Québec 2021

NOTES EXPLICATIVES Ce projet de loi modifie principalement la

Loi sur la gouvernance et la gestion des ressources informationnelles des organismes publics et des entreprises du gouvernement. En matière de sécurité de l’information, le projet de loi prévoit notamment l’obligation, pour les organismes publics, d’assurer la sécurité des ressources informationnelles et de l’information qu’ils détiennent ou qu’ils utilisent, ainsi que celle de prendre, en cas d’atteinte ou de risque d’atteinte à la confidentialité, à la disponibilité ou à l’intégrité de ces ressources ou de cette information, toutes les mesures visant à en corriger les impacts ou à en réduire le risque.

Il prévoit également que le président du Conseil du trésor dispose de tous les pouvoirs nécessaires pour soutenir les organismes publics en cas d’une telle atteinte ou d’un tel risque d’atteinte, dont celui de conclure des ententes avec toute personne ou avec tout organisme au Canada ou à l’étranger. En matière de transformation numérique, le projet de loi prévoit notamment qu’un organisme public doit établir un plan de transformation numérique dont le président du Conseil du trésor détermine les modalités.

Le projet de loi instaure par ailleurs un nouveau cadre de gestion des données numériques gouvernementales qui sont détenues par les organismes publics. Il établit que de telles données constituent un actif informationnel stratégique du patrimoine numérique gouvernemental dont la mobilité et la valorisation, aux fins administratives ou de services publics qu’il énonce et compte tenu de leur nature, de leurs caractéristiques et des règles d’accès et de protection qui autrement les régissent, sont d’intérêt gouvernemental.

Ce nouveau cadre de gestion instauré par le projet de loi permet au gouvernement de désigner des sources officielles de données numériques gouvernementales. Ces sources officielles pourront, lorsque cela est nécessaire à une fin administrative ou de services publics, recueillir des données numériques auprès d’organismes publics, les utiliser et les communiquer à ces derniers, de même que recueillir auprès de toute personne des renseignements, incluant des renseignements personnels. Le projet de loi prévoit que le gouvernement doit notamment préciser les données qui sont concernées, ainsi que

3 les fins administratives ou de services publics pour lesquelles ces données peuvent faire l’objet d’une autorisation de mobilité ou de valorisation.

Le projet de loi établit que la désignation d’une source officielle de données numériques gouvernementales se fait sur recommandation conjointe du président du Conseil du trésor et du ministre responsable de l’organisme public qui détient les données concernées, sauf lorsque certaines de ces données sont détenues par le ministre de la Santé et des Services sociaux ou par un organisme public sous sa responsabilité, auquel cas la désignation de la source se fait sur recommandation de ce ministre.

Le projet de loi prévoit des règles particulières lorsque les données numériques gouvernementales concernées comprennent des renseignements personnels. Il établit notamment que, dans un tel cas, les fins précisées par le gouvernement doivent être dans l’intérêt public ou au bénéfice des personnes concernées.

Il prévoit aussi que l’organisme public désigné comme source officielle de données numériques gouvernementales doit procéder à une évaluation des facteurs relatifs à la vie privée, établir des règles de gouvernance à l’égard de tels renseignements qui doivent être approuvées par la Commission d’accès à l’information et soumettre à cette dernière, à chaque année, un rapport concernant les renseignements personnels recueillis, utilisés ou communiqués. Pour permettre la mise en œuvre des nouvelles mesures, le projet de loi modifie le cadre de gouvernance applicable en matière de ressources informationnelles.

Il crée ainsi les fonctions de chef gouvernemental de la sécurité de l’information, de chef gouvernemental de la transformation numérique et de gestionnaire des données numériques gouvernementales. Il détermine les responsabilités liées à ces fonctions et prévoit qu’elles sont assumées par le dirigeant principal de l’information.

Il donne à ce dirigeant un rôle accru à l’égard des organismes publics, incluant celui de formuler des indications d’application, de signifier des attentes, de surveiller la mise en œuvre des obligations prévues par la loi, d’autoriser la mobilité ou la valorisation de données et d’exiger des renseignements ou des rapports concernant leurs activités. Le projet de loi crée également les fonctions de chef délégué à la sécurité de l’information et de gestionnaire délégué aux données numériques gouvernementales et détermine les responsabilités qui y sont rattachées.

Ces responsabilités sont assumées, sauf exception, par les dirigeants de l’information des organismes publics, dont les conditions de désignation sont par ailleurs modifiées.

4 Le projet de loi prévoit que le gestionnaire des données numériques gouvernementales peut confier à un organisme public le mandat de diffuser des données ouvertes ou un jeu de données en format ouvert. Il donne également au gouvernement des pouvoirs réglementaires pour encadrer la gestion des données numériques gouvernementales, entre autres ceux d’exclure des données de l’application de certaines dispositions, de déterminer des normes de qualité des données et d’établir des règles applicables aux organismes publics visés par une autorisation de mobilité ou de valorisation des données.

Le projet de loi renforce le rôle du président du Conseil du trésor à l’égard des organismes publics, notamment en lui donnant les pouvoirs d’établir des mécanismes de contrôle, de procéder à des audits et de désigner une personne pour vérifier si un organisme public respecte les dispositions de la loi. Le projet de loi modifie la

Loi sur l’administration publique pour préciser les fonctions du président du Conseil du trésor en lien avec le nouveau cadre établi. Pour permettre l’application des mesures concernant la mobilité et la valorisation des données numériques gouvernementales, il modifie également les régimes spécifiques de protection des renseignements prévus par la

Loi sur l’administration fiscale, la

Loi sur l’assurance maladie et la

Loi sur les services de santé et les services sociaux. Enfin, le projet de loi modifie la Loi concernant le cadre juridique des technologies de l’information pour régulariser certains procédés de signature électronique de documents par les représentants d’un ministère ou d’un organisme. Il contient également des dispositions diverses et transitoires, dont une disposition validant rétroactivement la signature électronique de ces documents, ainsi qu’une disposition qui reporte au 13 juin 2026 l’obligation du président du Conseil du trésor de faire rapport au gouvernement sur l’application de la

Loi sur la gouvernance et la gestion des ressources informationnelles des organismes publics et des entreprises du gouvernement et l’opportunité de maintenir ou de modifier ses dispositions. LOIS MODIFIÉES PAR CE PROJET DE LOI : –

Loi sur l’administration fiscale (chapitre A-6.002); –

Loi sur l’administration publique (chapitre A-6.01); –

Loi sur l’assurance maladie (chapitre A-29);

5 – Loi concernant le cadre juridique des technologies de l’information (chapitre C-1.1); –

Loi sur la gouvernance et la gestion des ressources informationnelles des organismes publics et des entreprises du gouvernement (chapitre G-1.03); –

Loi sur les services de santé et les services sociaux (chapitre S-4.2).

Projet de loi n o 95 LOI MODIFIANT LA

LOI SUR LA GOUVERNANCE ET LA GESTION DES RESSOURCES INFORMATIONNELLES DES ORGANISMES PUBLICS ET DES ENTREPRISES DU GOUVERNEMENT ET D’AUTRES DISPOSITIONS LÉGISLATIVES LE PARLEMENT DU QUÉBEC DÉCRÈTE CE QUI SUIT :

LOI SUR LA GOUVERNANCE ET LA GESTION DES RESSOURCES INFORMATIONNELLES DES ORGANISMES PUBLICS ET DES ENTREPRISES DU GOUVERNEMENT 1. L’article 1 de la

Loi sur la gouvernance et la gestion des ressources informationnelles des organismes publics et des entreprises du gouvernement (chapitre G-1.03) est remplacé par le suivant : « 1.

La présente loi a pour objet d’instaurer un cadre de gouvernance et de gestion en matière de ressources informationnelles applicable aux organismes publics et aux entreprises du gouvernement, lequel vise particulièrement : 1° à permettre d’of frir aux citoyens et aux entreprises des services simplifiés, intégrés et de qualité qui s’appuient sur les technologies de l’information, incluant les technologies numériques, tout en assurant la pérennité du patrimoine numérique gouvernemental; 2° à optimiser la gestion des ressources informationnelles et des services publics en favorisant la mise en commun, notamment, du savoir-faire, de l’information, des systèmes, des infrastructures et des ressources; 3° à assurer la protection adéquate des ressources informationnelles des organismes publics utilisées en soutien à la prestation des services publics ou à l’accomplissement des missions de l’État; 4° à instaurer une gouvernance et une gestion optimales des données numériques gouvernementales pour simplifier l’accès aux services publics par les citoyens et les entreprises, mieux soutenir l’action gouvernementale, accroître la performance et la résilience de l’administration publique et rehausser la qualité et la protection de ces données; 5° à coordonner les initiati ves de transformation numérique des organismes publics en vue d’offrir des services publics entièrement numériques;

8 6° à assurer une gestion rigoureuse et transparente des sommes consacrées aux ressources informationnelles; 7° à promouvoir l’usage des meilleures pratiques en matière de gouvernance et de gestion des ressources informationnelles et le développement de l’expertise gouvernementale relativement aux technologies de l’information, incluant les technologies numériques; 8° à favoriser la mise en œuvre d’orientations et de stratégies communes à l’ensemble des organismes publics. ». 2.

L’article 2 de cette loi est modifié par l’insertion, à la fin de ce qui précède le paragraphe 1° du premier alinéa, de « , lesquels organismes forment l’Administration publique aux fins de la présente loi ». 3. L’article 7 de cette loi est modifié : 1° dans le paragraphe 0.1° :

a) par l’insertion, après « soumettre au », de « président du »;

b) par l’insertion, à la fin, de « , incluant en ce qui concerne la transformation numérique de l’Administration publique, et de proposer les moyens pour la mettre en œuvre »; 2° par l’insertion, après le paragraphe 1°, du suivant : « 1.1° de formuler et de transmettre aux organismes publics des indications d’application en matière de ressources informationnelles auxquelles ces derniers doivent se conformer; »; 3° par l’insertion, dans le paragraphe 2° et après « conseiller le », de « président du Conseil du trésor et le »; 4° par la suppression du paragraphe 6°; 5° par l’insertion, dans le paragraphe 7° et après « d’informer le », de « président du »; 6° par l’insertion, après le paragraphe 7°, du suivant : « 7.1° de développer une expertise en matière de ressources informationnelles, plus particulièrement en sécurité de l’information, en transformation numérique et en technologies de l’information, incluant les technologies numériques, de manière à offrir aux organismes publics des services, des conseils ou du soutien et à renforcer le savoir-faire de l’État en telles matières; »; 7° par le remplacement, dans le paragraphe 8°, de « et des » par « ou la mise en commun ou le partage de celles-ci, ainsi que des »;

9 8° par l’ajout, à la fin, de l’alinéa suivant : « Pour l’application de la présente loi, on entend par « indication d’application » toute instruction donnée par écrit portant sur l’exécution d’activités, l’acquittement de responsabilités ou l’application de mesures en matière de ressources informationnelles. ». 4. Cette loi est modifiée par l’insertion, après l’article 7, du suivant : « 7.1. Le dirigeant principal de l’information agit, pour l’Administration publique, à

titre de : 1° chef gouvernemental de la sécurité de l’information, en assumant les responsabilités prévues à l’article 12.6; 2° chef gouvernemental de la transformation numérique, en assumant les responsabilités prévues à l’article 12.9; 3° gestionnaire des données numériques gouvernementales, en assumant les responsabilités prévues à l’article 12.11. Il peut déléguer par écrit à une personne relevant de sa direction l’exercice de l’une ou l’autre des responsabilités qu’il assume. ». 5.

L’article 8 de cette loi est modifié : 1° par le remplacement, dans le premier alinéa, de « au sein de celui-ci et après consultation » par « parmi les membres du personnel de direction qui relèvent directement de son sous-ministre et après recommandation »; 2° par le remplacement, dans le deuxième alinéa, de « après consultation » par « public après recommandation ». 6.

L’article 10.1 de cette loi est modifié, dans le premier alinéa : 1° par le remplacement, dans le paragraphe 1°, de « règles de gouvernance et de gestion établies en vertu de la présente loi ainsi qu’à la mise en œuvre des orientations visées au deuxième alinéa de l’article 21 », par « orientations, stratégies, politiques, standards, directives, règles et indications d’application pris en vertu de la présente loi »; 2° par l’insertion, à la fin du paragraphe 3°, de « ainsi que du respect des obligations découlant de la présente loi »; 3° par le remplacement, dans le paragraphe 8°, de « et des » par « ou la mise en commun ou le partage de celles-ci, ainsi que des »;

10 4° par l’insertion, après le paragraphe 9°, des suivants : « 9.1° d’agir à

titre de chef délégué de la sécurité de l’information, en assumant les responsabilités prévues à l’article 12.7; « 9.2° d’agir à

titre de gestionnaire délégué aux données numériques gouvernementales, en assumant les responsabilités prévues à l’article 12.12, sauf lorsque le ministre titulaire du ministère duquel il relève ou le dirigeant d’un organisme public qui y est autorisé par le Conseil du trésor désigne une autre personne à

titre de gestionnaire délégué aux données numériques gouvernementales en suivant les règles prévues à l’article 8 pour la désignation du dirigeant de l’information, avec les adaptations nécessaires; ». 7. Cette loi est modifiée par l’insertion, après le

chapitre II.1, des suivants : «

CHAPITRE II.2 « SÉCURITÉ DE L’INFORMATION « 12.2. Tout organisme public doit assurer la sécurité des ressources informationnelles et de l’information qu’il détient ou qu’il utilise en vertu des obligations qui le régissent, en cohérence avec les orientations, les stratégies, les politiques, les standards, les directives, les règles et les indications d’application pris en vertu de la présente loi.

Lorsqu’un organisme public constate qu’une ressource informationnelle ou une information sous sa responsabilité fait ou a fait l’objet d’une atteinte à sa confidentialité, à sa disponibilité ou à son intégrité, ou qu’un risque d’une telle atteinte est appréhendé, il doit prendre toutes les mesures visant à en corriger les impacts ou à en réduire le risque.

Si un tel organisme public constate ou appréhende qu’une ressource informationnelle ou une information d’un autre organisme public est susceptible de subir une telle atteinte, il peut lui communiquer tout renseignement, incluant un renseignement personnel, jugé nécessaire pour en corriger les impacts ou en réduire le risque. « 12.3.

Un organisme public doit, sur demande du chef gouvernemental de la sécurité de l’information, lui communiquer sans délai tout renseignement, incluant un renseignement personnel, même si celui-ci doit être généré ou que sa communication implique des opérations d’extraction, lorsque cela est nécessaire à la prise de mesures visant à corriger les impacts d’une atteinte visée au deuxième alinéa de l’article 12.2 ou à en réduire le risque. « 12.4.

Le président du Conseil du trésor peut utiliser les renseignements visés à l’article 12.3 pour soutenir les organismes publics en cas d’atteinte ou de risque d’atteinte visés au deuxième alinéa de l’article 12.2 et il dispose de tous les pouvoirs nécessaires pour ce faire dont celui de conclure, conformément

11 à la loi, des ententes avec toute personne ou avec tout organisme au Canada ou à l’étranger lorsqu’il l’estime nécessaire pour assurer la sécurité de l’information. Le président du Conseil du trésor peut communiquer à ces personnes ou à ces organismes les renseignements visés au premier alinéa qui sont nécessaires afin de prévenir, de détecter ou de diminuer les impacts en cas d’atteinte ou de risque d’atteinte. « 12.5.

Le président du Conseil du trésor maintient, au sein du secrétariat du Conseil du trésor et sous la direction du chef gouvernemental de la sécurité de l’information, une unité administrative spécialisée en sécurité de l’information. « 12.6.

Le chef gouvernemental de la sécurité de l’information assume les responsabilités suivantes : 1° diriger l’action gouvernementale en matière de sécurité de l’information; 2° recommander au Conseil du trésor des règles pour assurer la sécurité de l’information, incluant celles relatives à l’authentification et à l’identification, ainsi que recommander au président du Conseil du trésor des cibles de performance applicables aux organismes publics en matière de sécurité de l’information; 3° établir le modèle de classification de sécurité des données numériques gouvernementales en fonction de leur nature, de leurs caractéristiques, de leur utilisation et des règles qui les régissent, et le faire approuver par le Conseil du trésor; 4° signifier aux organismes publics des attentes en matière de sécurité de l’information et leur formuler des indications d’application; 5° surveiller la mise en œuvre par les organismes publics des obligations en matière de sécurité de l’information découlant de l’application de la présente loi, veiller à leur respect et évaluer les mesures prises par les organismes publics en telle matière; 6° rendre compte au président du Conseil du trésor, selon les conditions et modalités déterminées par ce dernier, des résultats liés aux cibles de performance ainsi que du respect des obligations et lui formuler toute recommandation nécessaire; 7° exercer toute autre fonction que lui attribue le président du Conseil du trésor ou le gouvernement.

12 « 12.7.

Un chef délégué de la sécurité de l’information assume, à l’égard des organismes publics auxquels il est rattaché, les responsabilités suivantes : 1° appuyer le chef gouvernemental de la sécurité de l’information dans la prise en charge de l’action gouvernementale en matière de sécurité de l’information; 2° appliquer, sous la direction du chef gouvernemental de la sécurité de l’information, les standards, les directives, les règles ou les indications d’application relatifs à la sécurité de l’information pris en vertu de la présente loi; 3° assurer la protection des ressources informationnelles et de l’information, notamment par la gestion des risques et des vulnérabilités, ainsi que par la mise en œuvre de mesures visant à les protéger de toute forme d’atteinte, telles des menaces ou des cyberattaques; 4° prendre toute action requise en cas d’atteinte à la protection des ressources informationnelles et de l’information; 5° formuler, en matière de sécurité de l’information, des indications d’application particulières pour ces organismes; 6° surveiller la mise en œuvre des obligations en matière de sécurité de l’information découlant de l’application de la présente loi, veiller à leur respect et évaluer les mesures prises par ces organismes en telle matière; 7° rendre compte de sa gestion au chef gouvernemental de la sécurité de l’information et lui transmettre tout renseignement demandé, selon les modalités que détermine le président du Conseil du trésor.

En cas d’incompatibilité entre les dispositions d’une indication d’application du chef gouvernemental de la sécurité de l’information prise en vertu du paragraphe 4° de l’article 12.6 et celles d’une indication d’application du chef délégué de la sécurité de l’information prise en vertu du paragraphe 5° du premier alinéa portant sur le même objet, les premières prévalent sur les secondes. «

CHAPITRE II.3 « TRANSFORMATION NUMÉRIQUE « 12.8. Un organisme public doit établir un plan de transformation numérique et le transmettre au chef gouvernemental de la transformation numérique. Le président du Conseil du trésor détermine les renseignements que ce plan doit comprendre, la période couverte par celui-ci, sa forme et la périodicité des révisions dont il doit faire l’objet.

13 Le président du Conseil du trésor peut demander à un organisme public d’apporter toute modification à son plan de transformation numérique s’il estime que celle-ci est nécessaire afin d’assurer sa cohérence avec la stratégie gouvernementale de transformation numérique. « 12.9.

Le chef gouvernemental de la transformation numérique assume les responsabilités suivantes : 1° conseiller le président du Conseil du trésor en matière de transformation numérique, notamment en proposant des orientations, des stratégies, des plans d’action et des initiatives en vue d’optimiser et de simplifier les services offerts aux citoyens et aux entreprises, de soutenir les missions de l’État et d’accroître la performance de l’Administration publique; 2° mettre à la disposition des organismes publics les outils, les services et l’expertise en soutien à la transformation numérique; 3° présenter annuellement au Conseil du trésor un portefeuille des projets prioritaires en vue d’accélérer la transformation numérique de l’Administration publique; 4° évaluer l’action des organismes publics visant à concrétiser la vision gouvernementale de la transformation numérique, notamment à partir de l’information recueillie auprès de ceux-ci et en faisant les suivis appropriés; 5° proposer au président du Conseil du trésor des stratégies pour favoriser l’approche de gouvernement ouvert et voir à la mise en œuvre de celles-ci; 6° exercer toute autre fonction que lui attribue le président du Conseil du trésor ou le gouvernement.

«

CHAPITRE II.4 « DONNÉES NUMÉRIQUES GOUVERNEMENTALES «

SECTION I « DISPOSITIONS GÉNÉRALES « §1. — Principes et définitions « 12.10. Les données numériques gouvernementales constituent un actif informationnel stratégique du patrimoine numérique gouvernemental. Leur mobilité et leur valorisation au sein de l’Administration publique à des fins administratives ou de services publics, en tenant compte de leur nature, de leurs caractéristiques et des règles d’accès et de protection qui autrement les régissent, sont d’intérêt gouvernemental.

14 Pour l’application de la présente loi, on entend par : 1° « donnée numérique gouvernementale » toute information portée par un support technologique, incluant un support numérique, détenue par un organisme public, à l’exclusion :

a) d’une information sous le contrôle d’un tribunal judiciaire ou d’un autre organisme public lorsqu’il exerce des fonctions juridictionnelles;

b) d’une information déterminée par règlement du gouvernement ou faisant

partie d’une catégorie déterminée par un tel règlement, notamment une information visée par une restriction au droit d’accès en vertu de la

Loi sur l’accès aux documents des organismes publics et sur la protection des renseignements personnels (chapitre A-2.1); 2° « fin administrative ou de services publics » l’une ou l’autre des fins suivantes :

a) l’optimisation ou la simplification des services offerts aux citoyens ou aux entreprises;

b) le soutien aux différentes missions de l’État, à la prestation par plus d’un organisme public de services communs ou à la réalisation de missions communes à plus d’un organisme public;

c) l’accomplissement d’un mandat attribué conformément à une loi ou d’une initiative à portée gouvernementale;

d) la planification, la gestion, l’évaluation ou le contrôle de ressources, de programmes ou de services gouvernementaux;

e) la production d’information en soutien à la prise de décision ministérielle ou gouvernementale;

f) la vérification de l’admissibilité d’une personne à un programme ou à une mesure;

g) la recherche et le développement; 3° « mobilité » le fait, pour une donnée numérique gouvernementale, d’être communiquée ou transmise entre organismes publics à une fin administrative ou de services publics; 4° « valorisation » la mise en valeur d’une donnée numérique gouvernementale au sein de l’Administration publique à une fin administrative ou de services publics, excluant sa vente ou toute autre forme d’aliénation.

15 « §2. — Gestion des données numériques gouvernementales « 12.11.

Le gestionnaire des données numériques gouvernementales assume les responsabilités suivantes : 1° conseiller le président du Conseil du trésor en matière de données numériques gouvernementales, notamment quant à leur mobilité et à leur valorisation; 2° maintenir à jour une consolidation des inventaires de telles données que doivent tenir les organismes publics conformément au règlement pris en vertu du paragraphe 1° de l’article 12.19 et identifier celles ayant un potentiel de mobilité ou de valorisation; 3° élaborer et mettre en œuvre des stratégies de mobilité ou de valorisation des données; 4° autoriser, à toute fin administrative ou de services publics précisée dans un décret pris en application de l’article 12.13, la mobilité ou la valorisation des données numériques gouvernementales concernées en cohérence, le cas échéant, avec les stratégies de mobilité ou de valorisation; 5° s’assurer de l’application du modèle de classification de sécurité des données établi par le chef gouvernemental de la sécurité de l’information en application du paragraphe 3° de l’article 12.6 ainsi que des normes de qualité des données numériques gouvernementales déterminées par le gouvernement en vertu du paragraphe 2° de l’article 12.19; 6° contrôler la qualité des données numériques gouvernementales et les mesures qui en assurent la sécurité et requérir à ce sujet tout renseignement qu’il juge nécessaire des organismes publics qui les détiennent; 7° veiller à l’application des règles ou des mesures prises par le gouvernement en vertu des paragraphes 4° et 5° de l’article 12.19; 8° soutenir et accompagner les organismes publics ainsi que les gestionnaires délégués aux données numériques gouvernementales des organismes publics aux fins de la mise en œuvre des obligations prévues au présent chapitre; 9° exercer toute autre fonction que lui attribue le président du Conseil du trésor ou le gouvernement.

Tout organisme public doit, dans le délai et selon les modalités que détermine le gestionnaire des données numériques gouvernementales, lui transmettre l’information permettant la tenue de la consolidation visée au paragraphe 2° du premier alinéa.

16 « 12.12.

Un gestionnaire délégué aux données numériques gouvernementales assume, à l’égard des organismes publics auxquels il est rattaché, les responsabilités suivantes : 1° soutenir ces organismes dans l’application des dispositions du présent chapitre; 2° appuyer le gestionnaire des données numériques gouvernementales dans l’exercice de ses responsabilités; 3° appliquer toute indication d’application formulée par le dirigeant principal de l’information en application du paragraphe 1.1° de l’article 7, ou toute règle ou toute mesure prise par le gouvernement en vertu des paragraphes 4° et 5° de l’article 12.19.

« §3. — Source officielle de données numériques gouvernementales « 12.13. Le gouvernement peut, sur recommandation conjointe du président du Conseil du trésor et du ministre responsable de l’organisme public qui détient les données numériques gouvernementales concernées, désigner un organisme public pour agir comme source officielle de données numériques gouvernementales.

Une source officielle de données numériques gouvernementales recueille, utilise ou communique des données numériques gouvernementales ou recueille auprès de toute personne des renseignements, incluant des renseignements personnels, lorsque cela est nécessaire à une fin administrative ou de services publics. Le gouvernement précise les données numériques gouvernementales concernées ainsi que les fins administratives ou de services publics pour lesquelles de telles données peuvent faire l’objet d’une autorisation de mobilité ou de valorisation.

Il peut déterminer les organismes publics qui doivent recueillir ces données auprès de la source et les utiliser ou qui doivent les communiquer à cette dernière. Les organismes publics visés par un décret pris en application du présent

article doivent respecter les règles ou les mesures établies par le gouvernement en vertu des paragraphes 4° et 5° de l’article 12.19.

Malgré le premier alinéa, lorsque des données numériques gouvernementales concernées sont détenues par le ministre de la Santé et des Services sociaux ou par tout organisme public relevant de son portefeuille, la désignation de la source officielle de données numériques gouvernementales en application du présent

article se fait sur recommandation de ce ministre.

17 «

SECTION II « DISPOSITIONS PARTICULIÈRES AUX RENSEIGNEMENTS PERSONNELS « 12.14. Des données numériques gouvernementales qui comprennent des renseignements personnels sont communiquées par tout organisme public à une source officielle de données numériques gouvernementales lorsque la communication est nécessaire aux fins précisées dans un décret pris en application de l’article 12.13. Ces fins doivent être dans l’intérêt public ou au bénéfice des personnes concernées.

De telles données sont communiquées par une source officielle de données numériques gouvernementales à un autre organisme public lorsque la communication est nécessaire aux fins précisées dans un tel décret. Lorsque de telles données peuvent être utilisées ou communiquées sous une forme ne permettant pas d’identifier directement la personne concernée, elles doivent être utilisées ou communiquées sous cette forme. « 12.15.

L’organisme public désigné comme source officielle de données numériques gouvernementales doit, avant de recueillir, d’utiliser ou de communiquer des renseignements personnels dans l’exercice de sa fonction : 1° procéder à une évaluation des facteurs relatifs à la vie privée et la transmettre à la Commission d’accès à l’information; 2° établir des règles encadrant sa gouvernance à l’égard de renseignements personnels et les faire approuver par la Commission.

Ces règles doivent prévoir l’encadrement applicable à la conservation et à la destruction des renseignements personnels concernés, les rôles et les responsabilités des membres du personnel de l’organisme public à l’égard de ces renseignements tout au long de leur cycle de vie et un processus de traitement des plaintes relatives à leur protection. Elles doivent être à nouveau soumises pour approbation à la Commission tous les deux ans. « 12.16.

L’organisme public désigné comme source officielle de données numériques gouvernementales doit, dans le cadre de l’application de la présente section, soumettre à la Commission d’accès à l’information un rapport concernant les renseignements personnels recueillis, utilisés ou communiqués dans les 45 jours suivant la fin de chaque année financière, lequel rapport comprend : 1° une description des renseignements personnels recueillis ou qui lui ont été communiqués ainsi que leur provenance; 2° les noms des organismes publics à qui sont communiqués des renseignements personnels;

18 3° une description des fins auxquelles les renseignements personnels sont recueillis, utilisés ou communiqués; 4° une description des modalités de communication des renseignements personnels; 5° une description des mesures propres à assurer la protection des renseignements personnels. « 12.17. L’organisme public désigné comme source officielle de données numériques gouvernementales rend publics sur son site Internet, dans une

section dédiée à cette fonction, les règles visées au paragraphe 2° du premier alinéa de l’article 12.15 ainsi que le rapport visé à l’article 12.16. Il transmet sans délai une copie de ces documents au gestionnaire des données numériques gouvernementales. «

SECTION III « AUTRES DISPOSITIONS « 12.18. Le gestionnaire des données numériques gouvernementales peut confier à un organisme public le mandat de diffuser des données ouvertes ou un jeu de données en format ouvert. L’organisme public à qui est confié le mandat visé au premier alinéa agit comme source officielle de données de référence et il doit, à ce titre, diffuser de telles données ou un tel jeu de données sur son site Internet ou sur un autre site que lui indique le gestionnaire des données numériques gouvernementales, selon les modalités que détermine ce gestionnaire.

Les modalités peuvent notamment porter sur la qualité des données, les formats de diffusion exigés, les principaux éléments à documenter ou d’autres règles de conformité. Lorsqu’elles prévoient des règles d’utilisation relatives à ces données ou à ce jeu de données, incluant toute utilisation secondaire, ces modalités lient les organismes publics. « 12.19.

Le gouvernement peut, par règlement : 1° déterminer les modalités concernant la tenue des inventaires des données numériques gouvernementales par les organismes publics; 2° déterminer des normes de qualité des données numériques gouvernementales en fonction de leur nature, de leurs caractéristiques, de leur utilisation et de leur potentiel de mobilité ou de valorisation ainsi que, le cas échéant, des normes de protection particulières pour ces données; 3° exclure des catégories de données de l’application du présent chapitre;

19 4° déterminer des règles relatives à l’autorisation de mobilité ou de valorisation du gestionnaire des données numériques gouvernementales visée au paragraphe 4° du premier alinéa de l’article 12.11 ainsi que des règles applicables aux organismes publics visés par une telle autorisation; 5° prescrire toute autre mesure nécessaire à l’application du présent chapitre. ». 8.

L’article 13 de cette loi est modifié par le remplacement, dans le paragraphe 1°, de « un plan directeur en ressources informationnelles qui fait notamment état de sa gestion des risques ainsi que des mesures en ressources informationnelles qui seront mises en place pour réaliser sa mission et ses priorités stratégiques dans le respect des orientations visées au deuxième alinéa de l’article 21 » par « , dans le respect des orientations visées au deuxième alinéa de l’article 21, une stratégie en matière de ressources informationnelles, laquelle fait état de son plan de transformation numérique, de sa gestion des risques ainsi que de toute autre information prescrite par le Conseil du trésor ». 9.

L’article 15 de cette loi est modifié par le remplacement, dans le deuxième alinéa, de « une consolidation des outils de planification obtenus des organismes auxquels il est rattaché » par « la documentation prescrite par ce dernier ». 10. L’article 16.3 de cette loi est modifié par l’insertion, à la fin du premier alinéa, de « ou lorsqu’il implique la désignation d’un organisme public pour agir comme source officielle de données numériques gouvernementales en application de l’article 12.13 ». 11. Cette loi est modifiée par l’insertion, après l’intitulé de la

section III du

chapitre III, des articles suivants : « 16.6.1. Un organisme public doit transmettre au président du Conseil du trésor ou au dirigeant principal de l’information tout renseignement et tout rapport exigés par ces derniers concernant ses activités en matière de ressources informationnelles.

Il doit également transmettre au chef gouvernemental de la transformation numérique, au chef gouvernemental de la sécurité de l’information ou au gestionnaire des données numériques gouvernementales tout renseignement et tout rapport exigés par ces derniers concernant ses activités qui se rapportent à leur champ de compétence respective. « 16.6.2. Le président du Conseil du trésor peut, lorsque la situation le justifie et sur recommandation du dirigeant principal de l’information, établir des mécanismes de contrôle et procéder à des audits afin de s’assurer de l’atteinte des objectifs de la présente loi.

Il peut notamment exiger la mise en place par un organisme public d’un programme d’évaluation ou d’un programme de vérification interne, ou la réalisation d’une étude comparative de coûts. ».

20 12. Cette loi est modifiée par l’insertion, après l’article 22.1, du suivant : « 22.1.1. Le gouvernement prévoit, par règlement, les modalités et conditions d’application des articles 12.2 à 12.4. 13.

L’article 22.2 de cette loi est modifié, dans le premier alinéa : 1° par le remplacement de « si la planification des investissements et des dépenses de même que la gestion des projets en ressources informationnelles par un organisme public respectent les mesures établies en vertu de » par « , s’il le juge opportun, si un organisme public respecte les dispositions prévues par »; 2° par le remplacement de « règles et directives prises en vertu de celle-ci et auxquelles l’organisme est assujetti » par « orientations, standards, stratégies, directives, règles et indications d’application pris en vertu de celle-ci ». 14.

L’article 22.4 de cette loi est modifié : 1° par le remplacement de « . Ce dernier » par « ainsi qu’au ministre responsable de l’organisme visé par une vérification. Le président du Conseil du trésor »; 2° par le remplacement de « Le Conseil du trésor » par « Le président du Conseil du trésor »; 3° par l’ajout, à la fin, de la phrase suivante : « Tout ou

partie du montant destiné à un tel organisme peut également être retenu ou annulé par le ministre responsable, sur recommandation du Conseil du trésor. ».

LOI SUR L’ADMINISTRATION FISCALE 15. L’article 69.0.0.7 de la

Loi sur l’administration fiscale (chapitre A-6.002) est modifié par l’insertion, après le paragraphe b.3 du premier alinéa, du paragraphe suivant : « b.4) l’application du

chapitre II.4 de la

Loi sur la gouvernance et la gestion des ressources informationnelles des organismes publics et des entreprises du gouvernement (chapitre G-1.03); ». 16. Cette loi est modifiée par l’insertion, après l’article 69.0.0.16, du suivant : « 69.0.0.16.1. Un renseignement contenu dans un dossier fiscal peut être communiqué, sans le consentement de la personne concernée, à un organisme public visé par un décret pris en application de l’article 12.13 de la

Loi sur la gouvernance et la gestion des ressources informationnelles des organismes publics et des entreprises du gouvernement (chapitre G-1.03), lorsque l’Agence est désignée pour agir comme source officielle de données numériques

21 gouvernementales pour l’application de cette loi et que le renseignement est nécessaire à l’une des fins administratives ou de services publics précisée par le gouvernement en application de l’article 12.13 de cette loi. Un renseignement communiqué en vertu du premier alinéa n’est accessible qu’à une personne qui a qualité pour le recevoir lorsque celui-ci est nécessaire à l’exercice de ses fonctions. Un tel renseignement ne peut être utilisé qu’aux fins administratives ou de services publics précisées par le gouvernement en application de l’article 12.13 de cette loi.

Lorsque le renseignement peut être communiqué puis utilisé sous une forme ne permettant pas d’identifier directement la personne concernée, il doit être communiqué puis utilisé sous cette forme. ». 17. L’article 69.1 de cette loi est modifié par l’ajout, après le paragraphe z.7 du deuxième alinéa, du paragraphe suivant : « z.8) un organisme public désigné comme source officielle de données numériques gouvernementales en application de l’article 12.13 de la

Loi sur la gouvernance et la gestion des ressources informationnelles des organismes publics et des entreprises du gouvernement (chapitre G-1.03), mais uniquement dans la mesure où le renseignement est nécessaire aux fins administratives ou de services publics précisées par le gouvernement en application de cet article. ». 18. Cette loi est modifiée par l’insertion, après l’article 69.5.3, du suivant : « 69.5.4.

Un organisme public désigné comme source officielle de données numériques gouvernementales peut, sans le consentement de la personne concernée et uniquement lorsque ce renseignement est nécessaire à l’une des fins administratives ou de services publics précisée par le gouvernement en application de l’article 12.13 de la

Loi sur la gouvernance et la gestion des ressources informationnelles des organismes publics et des entreprises du gouvernement (chapitre G-1.03), communiquer à un autre organisme public visé par un décret pris en application de cet

article un renseignement obtenu en vertu du paragraphe z.8 du deuxième alinéa de l’article 69.1. ». 19. L’article 69.8 de cette loi est modifié par le remplacement, dans ce qui précède le paragraphe a du premier alinéa, de « z.3 et z.6 » par « z.3, z.6 et z.8 ».

LOI SUR L’ADMINISTRATION PUBLIQUE 20. L’article 77.1 de la

Loi sur l’administration publique (chapitre A-6.01) est modifié, dans le premier alinéa : 1° par le remplacement du paragraphe 6.1° par le suivant : « 6.1° d’assurer la mise en œuvre d’une stratégie visant la transformation numérique de l’administration publique, incluant, le cas échéant, la mise en œuvre de tout plan relatif à celle-ci, et d’accompagner les organismes publics dans cette mise en œuvre; »; 2° par l’insertion, après le paragraphe 6.3°, des suivants : « 6.4° d’assurer une coordination gouvernementale en matière de sécurité de l’information et d’établir des cibles de performance applicables à l’ensemble des organismes publics afin de mesurer leur performance sur les plans stratégique, tactique et opérationnel ainsi que l’efficacité gouvernementale dans la prise en charge des menaces, des vulnérabilités et des incidents en telle matière; « 6.5° d’établir des exigences en matière de sécurité de l’information applicables aux organismes publics et d’ordonner à ces derniers, lorsque requis, de mettre en œuvre ces exigences afin d’assurer le rehaussement de l’efficacité gouvernementale à cet égard; ».

LOI SUR L’ASSURANCE MALADIE 21. La

Loi sur l’assurance maladie (chapitre A-29) est modifiée par l’insertion, après l’article 65.0.4, du suivant : « 65.0.4.1. La Régie utilise les renseignements obtenus pour l’exécution de la présente loi pour l’application du

chapitre II.4 de la

Loi sur la gouvernance et la gestion des ressources informationnelles des organismes publics et des entreprises du gouvernement (chapitre G-1.03). Elle communique également ces renseignements à un organisme public visé par un décret pris en application de l’article 12.13 de la

Loi sur la gouvernance et la gestion des ressources informationnelles des organismes publics et des entreprises du gouvernement lorsqu’elle est désignée pour agir comme source officielle de données numériques gouvernementales en application de cet

article et que les renseignements sont nécessaires à l’une des fins administratives ou de services publics précisée par le gouvernement dans le décret, ainsi qu’à un organisme public désigné comme source officielle de données numériques gouvernementales en application de cet article, lorsque les renseignements sont nécessaires à une telle fin. ».

23 LOI CONCERNANT LE CADRE JURIDIQUE DES TECHNOLOGIES DE L’INFORMATION 22. La Loi concernant le cadre juridique des technologies de l’information (chapitre C-1.1) est modifiée par l’insertion, après l’article 75, du suivant : « 75.1. Lorsqu’une loi prévoit qu’une signature apposée à un document par le représentant d’un ministère ou d’un organisme visé à l’article 3 de la

Loi sur l’administration publique (chapitre A-6.01) doit l’être au moyen d’un procédé autorisé en vertu de la loi, notamment lorsque la loi prévoit que les modalités de signature sont déterminées par le gouvernement ou par le ministre ou l’organisme, la signature peut, en l’absence d’une telle autorisation ou de telles modalités, être apposée au moyen de tout procédé qui satisfait aux exigences de l’article 2827 du Code civil. ».

LOI SUR LES SERVICES DE SANTÉ ET LES SERVICES SOCIAUX 23. L’article 19 de la

Loi sur les services de santé et les services sociaux (chapitre S-4.2) est modifié par l’ajout, à la fin, du paragraphe suivant : « 20° à un organisme public visé par un décret pris en application de l’article 12.13 de la

Loi sur la gouvernance et la gestion des ressources informationnelles des organismes publics et des entreprises du gouvernement (chapitre G-1.03), lorsque l’établissement est désigné pour agir comme source officielle de données numériques gouvernementales en application de cet

article et que le renseignement est nécessaire à l’une des fins administratives ou de services publics précisée par le gouvernement dans le décret, ainsi qu’à un organisme public désigné comme source officielle de données numériques gouvernementales en application de cet article, lorsque le renseignement est nécessaire à une telle fin. ». DISPOSITIONS TRANSITOIRES, DIVERSES ET FINALES 24. L’article 8 de la

Loi sur la gouvernance et la gestion des ressources informationnelles des organismes publics et des entreprises du gouvernement (chapitre G-1.03), tel que modifié par l’article 5 de la présente loi, s’applique à la première désignation d’un dirigeant de l’information faite après le (indiquer ici la date de la sanction de la présente loi ). 25. Le président du Conseil du trésor est soustrait de l’obligation de faire au gouvernement, au plus tard le 13 juin 2021, le rapport visé au premier alinéa de l’article 47 de la

Loi sur la gestion et la gouvernance des ressources informationnelles des organismes publics et des entreprises du gouvernement concernant l’application de cette loi et l’opportunité de maintenir ou de modifier ses dispositions. Le prochain rapport doit être fait au gouvernement par le président du Conseil du trésor au plus tard le 13 juin 2026.

24 26. Sont validés les documents signés par le représentant d’un ministère ou d’un organisme visé à l’article 3 de la

Loi sur l’administration publique (chapitre A-6.01) avant le ( indiquer ici la date de la sanction de la présente loi), en tant que la signature a été apposée au document au moyen d’un procédé autre que celui autorisé en vertu de la loi, notamment lorsque la loi prévoit que les modalités de signature sont déterminées par le gouvernement ou par le ministre ou l’organisme, à la condition que la signature ait été apposée au moyen de tout procédé qui satisfait aux exigences de l’article 2827 du Code civil. 27. La présente loi entre en vigueur le ( indiquer ici la date de la sanction de la présente loi ), à l’exception de l’article 7, dans la mesure où il édicte les articles 12.2 à 12.4 de la

Loi sur la gouvernance et la gestion des ressources informationnelles des organismes publics et des entreprises du gouvernement, qui entre en vigueur à la date de l’entrée en vigueur du premier règlement pris en vertu de l’article 22.1.1 de cette loi, édicté par l’article 12 de la présente loi.

Document details

Collection	Quebec — Bills
Citation	Vigie 173805
Type	bill
Volume / chapter	MediaId ANQ.Vigie.Bll.DocumentGenerique 173805 amp process Default amp token ZyMoxNwUn8ikQ TRKYwPCjWrKwg vIv9rjij7p3xLGT
Language	en
Format	pdf
Source	PROVINCIAL
Identifier	c9058c87425bba0e4e42ddc1e398c460f2153583

Source file is stored in the law ingest library (pdf).